composer 的 version 字段在 composer.json 中无效，依赖解析只认 git tag（如 v2.4.0）或 vcs 分支；本地修改 version 不影响安装；require 版本约束需严格遵循 composer 语法，如 "^2.9" 表示 >=2.9.0
composer.json 里 version 字段写什么根本没用
你在 composer.json 里手动写 "version": "2.4.0"，对依赖解析、安装、更新完全不起作用。Composer 只认包的「源」——也就是 Git tag 或 VCS 分支名。你本地改 version 字段，就像给快递单手写“已签收”，物流系统根本不看。
- 发布包时，必须打 Git tag，例如
v2.4.0或2.4.0（推荐带v前缀） - 如果你用私有仓库或 dist 包，tag 名必须和
composer.json中的name一致，且被 Composer 能扫描到 - 本地开发调试时，想强制用某个 commit，用
"dev-main as 2.4.0"这类 alias 才生效，不是靠 version 字段
require 里的版本约束到底怎么写才靠谱
写错一个符号，就可能装上不兼容的大版本。Composer 的版本语法看着像语义化版本，实际是它自己的一套解析逻辑，和 npm/yarn 不完全一样。
-
"monolog/monolog": "^2.9"：等价于>=2.9.0 ，这是最常用也最安全的写法 -
"guzzlehttp/guzzle": "~7.5"：等价于>=7.5.0 ，适合只想锁小版本的场景 - 避免直接写
"^2"或"~2"——它会匹配2.x.x全系列，包括可能破坏兼容性的2.10.0（如果作者没守 SemVer） - 别用
"*"或"dev-main"上生产环境，CI 构建结果不可重现
为什么 composer update 总是升级到意外版本
根本原因不是约束写错了，而是你没看清 composer.lock 里实际锁定的版本，也没注意 root 包的 minimum-stability 和 prefer-stable 设置。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
minimum-stability默认是stable，但只要某个依赖显式声明了"dev-master"，整个依赖树就可能降级去拉 unstable 版本 -
prefer-stable: true是关键开关——它会让 Composer 在满足约束前提下，优先选 stable tag，而不是最近的 dev commit - 运行
composer update --dry-run前，先看composer show monolog/monolog输出的可用版本列表，比瞎猜靠谱得多 - 删掉
composer.lock再install？等于重跑一次依赖求解——旧约束 + 新版 packagist 数据 = 结果大概率变
私有包 + GitLab/GitHub 的 tag 识别失败怎么办
不是 Composer 不认你的 v2.4.0 tag，而是它默认只认「带有效 version 字符串」的 tag，比如 v2.4.0 可以，release-2.4 或 2.4-final 就直接忽略。
- Git tag 名必须符合 Composer 的 version 正则：
^v?(\d+\.)*\d+$（允许开头v，后面全是数字和点） - GitHub/GitLab 私有仓库需在
composer.json中显式配置type: "vcs"，否则 Composer 当作普通 dist 包处理，压根不查 tag - 打完 tag 别忘了
git push --tags；漏推 tag 是线上环境找不到版本的最常见原因 - 调试时加
-vvv参数跑composer update，看日志里是否出现Reading composer.json of vendor/package (v2.4.0)—— 没这句说明 tag 根本没被扫到
版本约束真正起作用的地方，永远在 require 字段和 lock 文件里，而不是 package 自身的 version 字段。很多人调了半天 composer.json 里的 version，却没检查 Git tag 是否合规、minimum-stability 是否被其他依赖覆盖、或者 composer.lock 是否被误提交了脏状态——这些才是上线前最该盯住的点。
